PC初心者でもわかる！標的型攻撃メール１０分講座

情報漏洩事故が毎日のようにニュースになっています。
情報漏洩事故の原因の大半は人為的ミスでありますが、外部からの不正アクセスによる情報漏洩事故も少なからず発生しています。
この外部からの不正アクセスのノックにあたるものの１つが、標的型攻撃メールです。

標的型攻撃メールなんて官公庁や大企業がターゲットにされるだけで、自分には関係ないことだと思っていませんか？
そのようなことは決してなく、標的型攻撃メールに遭遇する可能性はあるのです。
標的型攻撃の被害は、法人・個人問いません。
気が付けばあなたの銀行口座からネットバンキングを利用して、不正送金が行われているかもしれないのです。

対策を講じるには、まずはしくみを知ることが重要です。
この記事では、標的型攻撃メールとはどのようなメールが危険であるのか、またどのようにそのリスクを回避していくのか事例などを交えて解説しています。
ぜひ、参考にしていただければと思います。

1.標的型攻撃とは？

標的型攻撃は特定の組織内の情報を狙って行われるサイバー攻撃の一種です。
主にメールを送信することから開始されます。このようなメールを標的型攻撃メールと呼びます。

標的型攻撃メールとは不特定多数に大量に送信されるウイルスメールとは違い、ターゲットとなる人に不信感を持たれないようにターゲットに合わせた内容の記載をおこなったメールにウィルスを仕込み、ターゲットに開封させてウィルスに感染させようという非常に巧妙なタイプのメールです。

あなたのPCがウィルスに感染すると、攻撃者によってあなたのPCが遠隔操作しまい、大事な情報などを盗み取られてしまうのです。

1-1.激増する標的型メール攻撃

このグラフは警察が把握した標的型メール攻撃の推移です。H26年下半期から激増していることがわかります。また、標的型攻撃を含むサイバー犯罪等に関する相談件数も増加傾向にあります。

こうした状況から、あなたが標的型攻撃のターゲットになる可能性があると言っても決して過言ではないでしょう。

では、標的型攻撃メールはどのようにしてあなたに襲いかかってくるのでしょうか？

平成27年上半期のサイバー空間をめぐる脅威の情勢について – 警察庁より抜粋

1-2.巧妙化する標的型攻撃メール

標的型攻撃メールには受信者に疑いがもたれないように、手口が巧妙がモノがほとんどです。

 1　受信者の関係者や信頼性のあるひとになりすまし、ファイルを開かせようとする

あなたに届いたメールの送信者名があなたの上司だった場合、あなたはなんのためらいもなくメールみて、ファイルを開いてしまいますよね。上司に限らず、知人であっても同様の行動をするでしょう。そういった人間の心理をサイバー犯罪者は巧みに利用するのです。

2　受信者の興味をひくような件名や本文により、ファイルを開かせようとする

送信者の名前に身に覚えがなくても、「問合せ」といったような件名だった場合、仕事に関することかな？とやはりメールを開けてしまいます。
標的型攻撃メールのターゲットなってしまった時点で、相手はあなたのことをよく知っていると思ってください。

ただ、この２つのことばかりに何を信じたら良いのかと、だれのメールも開けられない！といったメール不審に陥ってしまいますよね。

今のところ、メールを開くだけでのウィルスの感染事例は報告されていません。
ウィルスに感染しないためには、本文に記載のある怪しいURLをクリックしない、メールの添付ファイルを開かないこと大切なのです。

また、相手はこのようにファイルを偽装して添付してきたりすることもあります。
ファイル形式の偽装を見破った時点で、このメールが不適切なものであると判断ができるため、ひとつの豆知識として覚えておいてください。

ファイルを偽造する手口
1.アイコンの偽装
・　実行形式ファイルなのに文書ファイルや動画ファイル、画像ファイルのアイコンで表示
2.ファイル名の偽装
・　二重拡張子（本来の拡張子の前に空白文字を埋め込みニセの拡張子で偽装する）
・　RLOトラップ（Unicodeの制御文字[RLO：Start of right-to-left override]を利用してファイル名の拡張子を偽装する）

IPA標的型攻撃メール<危険回避>対策のしおり（第1版）より抜粋

このように、アイコンから文書ファイル（.doc）だと思い込んでいたら、実際は実行ファイル（.exe）であった例が数多く見られます。一瞬、この図を見てヒヤっとされた方もいるでしょう。
OSで拡張子の表示、非表示を設定できますが危険回避の為にも拡張子は表示する設定にし、常にファイルの拡張子を確認することを習慣にしていきましょう。

＜参考＞
拡張子とはファイルの末尾に付いている「．（ピリオド）+英数字」で表す記号のようなもので、ファイルの種類を表しています。つまり、この拡張子を見るだけでそのファイルが何のファイルであるか判断することができます。

ここまで、標的型攻撃メールがどのようなものかを説明してきました。
標的型攻撃をうけてしまった場合、どのようなことが起きてしまったのか、次章で見てみましょう。

2.標的型攻撃の事例

2-1.標的型攻撃によって起きた情報漏洩事故

標的型攻撃を受けた時の被害と言えば、一番に情報流出事故があげられます。

特に1の日本年金機構の漏洩事件は大きなニュースとなり、まだ記憶に新しい人も多いでしょう。
この漏洩事件の発端は一通の標的型攻撃メールでした。

報道によると、日本年金機構の職員に対して【『厚生年金基金制度の見直しについて（試案）』に関する意見】というファイルが添付されたメールが届いており、少なくとも2人が開封したとのことです。日本年金機構の職員ですから、年金基金制度についてのファイルと言われれば、業務上なんの疑問も持たず開封してしまったことは容易に想像がつきます。

この添付ファイルによって、日本年金機構のＰＣは第三者が遠隔操作をすることが出来てしまうウィルスに感染し、個人情報が流出してしまうという大惨事が起こってしまったのです。

2-2.サイバー攻撃の被害は個人情報漏洩以外だけではない

前述したとおり、たった１つのメールが企業にとって大きな損失を与えてしまいます。
会社がつぶれてしまうと言っても、決して過言ではありません。

顧客情報の漏洩以外にも、下記のような被害が考えられます。

2-3.標的となった組織の損失額は数億円！？

上記のように１つのメールで莫大な損失が出ること想像できます。
では、具体的に損失額はいくらになってしまうのでしょうか？

世界最大級のネットワーク事業を行っているベライゾンという企業があります。
このベライゾンが氏名や住所などの個人情報漏洩事故にあいての賠償損害額をもとに、弁護士費用や調査費用を考慮した上で、現実的な損失額の算出結果を公表しました。 

前述した日本年金機構による情報流出の対応費用は10億円超でした。

こうした損失金額から考えるとサイバー攻撃に備えて、企業はサイバー攻撃に備え保険に加入することが、今後不可欠と言えるでしょう。

2-4.サイバー攻撃対策にサイバーテロ保険が有効

サイバー攻撃に遭ってしまった時、一番にお金がかかることは損害賠償金よりも調査や社告などにかかる対応費用です。

保険会社各社より、サイバー攻撃による情報漏洩事故の為に保険が発売されています。
どの保険会社の商品にも、サイバー攻撃によって情報漏洩事故などを起こした時の損害賠償金、訴訟対応費用はついています。

そこで、保険会社の商品を比較する時には、下記のような費用面の補償額に注目をしましょう。

特に注目したいのはフォレンジックス費用です。
調査の内容、期間にもよりますが一説にはパソコン1台あたり100万円 かかると言われています。
つまり、調査の対象端末が100台であった場合、1億円の費用が掛かることになります。
とてつもない金額ですよね。この調査費用の補償はしっかりとつけておきたいものです。

サイバー攻撃対策に保険に加入する際には、こうした費用の補償額に注目して、商品を選択していくと良いでしょう。

また、サイバー攻撃用の保険に加入する際に、保険会社からセキュリティ状況についての質問があります。

こうした引受基準をクリアすることによって、自動的にサイバー攻撃に対する防衛力を高めることになります。

3.標的型攻撃の対策

また、あなただけが気を付けていても社内の他の人が標的型攻撃メールの餌食になってしまっては意味がありません。ですから、社内の人全員で情報や知識を共有して会社を守っていきましょう。

3-1.PC取扱い者に徹底させる5つの鉄則

 標的型攻撃メールを完全に排除することは、とても難しいことですが、この5つの鉄則を組織内で徹底するだけで、リスクはぐっと抑えられます。

ここでIPAが発行したサイバー情報共有イニシアティブ（J-CSIP） 2014年度 活動レポートから、悪意のある添付ファイルの種別の2012年度から2014年度までの推移をみてみましょう。

まずグラフからわかることは、実行ファイル（.exe)が常に大きな割合を示しているということです。それ以外の形式は3年の間だけでも、それぞれの割合が大きく変動しています。

また、この表は2014年度の添付ファイルの種別件数の変化を3ヶ月ごとにまとめたものです。
短期間の間に目まぐるしく添付ファイルの種別の流行が変動していることがわかります。

この結果から言えることは、相手はOSやアプリケーションのセキュリティ上の欠陥を見つける度にそれに合わせた手口を使ってきているということです。
つまり、ＯＳやアプリケーションは常に最新バージョンの状態にしておくことが必要だと言えるのです。

5つの鉄則を厳守させると同時に、併せて企業が重要な情報を管理する場所のセキュリティを強化しておきましょう。

3-2.社内で標的型攻撃メール訓練を行う

 標的型攻撃に対して、防災訓練のようにあらかじめ訓練を行うことによっていざという時の為に備えるといった方法もあります。
標的型攻撃メール訓練とは

実のところ、「自分は大丈夫。ウィルスメールになど引っかからない。関係のないこと」と思っていませんか？
ダミーメールに引っかかりをファイルを開けてしまうことによって、実際に被害にあう前に自分の認識の甘さを改めることができるという効果が期待できます。
積極的に導入していきたいものですね。

最近ではこのような訓練サービスを扱う企業が増えてきています。
ここで、訓練サービスを行っている会社のサービス内容をご紹介しましょう。

株式会社日立ビルシステムズのＨＰより抜粋

この株式会社日立ビルシステムズ以外にも訓練サービスを扱っている会社がたくさんあります。

ひとつ注意したいのは、こうした訓練サービスを行うにあたって社内のメールアドレスを渡すことになります。最悪の場合、悪用されてしまう可能性もあるので訓練サービスを依頼する際には、信頼の持てる企業を選定する必要があると言えるでしょう。

4.危険なファイルを開けてしまったら直ちに行動

ウィルスつきのファイルを開けてしまったら、まずはすぐに社内のセキュリティ担当者に報告し対応を仰ぎ、社内で情報を共有しましょう。

また、情報社会システムの安全性、信頼性を確保する活動を行っている独立行政法人情報処理推進機構（IPA)という組織があります。このIPAへの連絡も忘れず行いましょう。

IPAはサイバー犯罪を減少させる為、情報を提供を求めています。
実際に被害に遭っただけでなく、このメール怪しいかも…と思うようなことがあれば、IPAに相談するとよいでしょう。

 ＩＰＡ　独立行政法人情報処理推進機構　情報セキュリティ安心相談窓口はこちら

まとめ

標的型攻撃メール10分講座はいかがだったでしょうか。
これであなたが標的型攻撃メールの餌食になってしまう可能性がぐんっと下がりました。
この内容を周囲の方々とどんどん共有してもらい、世の中から標的型攻撃の被害が少しでも減るように願っています。 

• 拡張子には常日頃から注目する
• 添付ファイルを開くときは慎重に
• 添付ファイルの判断に迷ったら開けない。周りに報告、相談する
• サイバーテロ保険に入る時は費用補償額で比較検討したほうがよい
• 標的型攻撃の相談先がわからないなら、まずはIPAへ